[发明专利]一种威胁活动拓扑图的建立方法、装置及存储设备

说明书

本发明实施例公开一种威胁活动拓扑图的建立方法、装置及存储设备，用以解决现有技术对网络空间威胁活动的分析停留在基于网络资产和影响范围的模糊评估，无法准确还原攻击者威胁活动过程的问题。该方法包括：基于网络空间威胁框架，对目标威胁活动进行阶段归类；结合威胁活动关系，推理出所述目标威胁活动所处阶段之前和/或之后各阶段的相关威胁活动；建立所述目标威胁活动与所述相关威胁活动的顺序关联关系；根据所述顺序关联关系，得到多个完整威胁活动的拓扑图；根据每一拓扑图评估每个完整威胁活动的影响范围，与实际网络资产影响范围对比，确定所述目标威胁活动的完整威胁活动拓扑图。

技术领域

本发明实施例涉及网络安全领域，尤其涉及一种威胁活动拓扑图的建立方法、装置及存储设备。

背景技术

现有技术对网络空间威胁活动的分析是在基于网络资产和影响范围的基础上进行模糊评估，并未结合威胁活动的上下文分析，也未从威胁活动的目的和攻击者的方法去分析。因此现有的威胁活动分析，没有从攻击者的角度出发，无从得知该目标威胁为什么存在，目标威胁存在的前提条件是什么，攻击者实施攻击的方法又是什么。

发明内容

基于上述存在的问题，本发明实施例提供一种威胁活动拓扑图的建立方法、装置及存储设备，用以解决现有技术对网络空间威胁活动的分析停留在基于网络资产和影响范围的模糊评估，无法准确还原攻击者威胁活动过程的问题。

本发明实施例公开一种威胁活动拓扑图的建立方法，包括：

基于网络空间威胁框架，对目标威胁活动进行阶段归类；结合威胁活动关系，推理出所述目标威胁活动所处阶段之前和/或之后各阶段的相关威胁活动；建立所述目标威胁活动与所述相关威胁活动的顺序关联关系；根据所述顺序关联关系，得到多个完整威胁活动的拓扑图；根据每一拓扑图评估每个完整威胁活动的影响范围，与实际网络资产影响范围对比，确定所述目标威胁活动的完整威胁活动拓扑图。

进一步地，结合威胁活动关系，推理出所述目标威胁活动所处阶段之前和/或之后各阶段的相关威胁活动，具体为：基于网络空间威胁框架，计算目标威胁活动的发生概率；结合威胁活动关系的关系系数，计算出所述目标威胁活动所处阶段的前和/或后一阶段的相关威胁活动发生的条件概率，其中，每一阶段包含多个可能发生的相关威胁活动，对每一阶段的相关威胁活动发生的条件概率进行排序；进一步计算所述目标威胁活动所处阶段前和/或后各个阶段中每一阶段的每一相关威胁活动发生的条件概率，并对每一阶段的相关威胁活动发生的条件概率进行排序；推理出所述目标威胁活动所处阶段之前和/或之后各阶段的相关威胁活动。

进一步地，建立所述目标威胁活动与所述相关威胁活动的顺序关联关系，具体为：根据推理出的所述目标威胁活动所处阶段之前和/或之后各阶段的相关威胁活动以及相关威胁活动发生的条件概率的排序建立条件概率矩阵图；根据条件概率矩阵图建立所述目标威胁活动与所述相关威胁活动的顺序关联关系。

进一步地，根据所述拓扑图评估每个完整威胁活动的影响范围，与实际网络资产影响范围对比，确定所述目标威胁活动的完整威胁活动拓扑图，具体为：评估网络资产影响范围，评估值记为P；根据所述拓扑图评估每个完整威胁活动对网络资产的影响范围，评估值记为Py，其中，y表示该完整威胁活动拓扑图对应的序号；计算min{|Py-P|}，最小值对应的y值，即确定为所述目标威胁活动的完整威胁活动拓扑图。

本发明实施例公开一种威胁活动拓扑图的建立装置，包括存储器和处理器，所述存储器用于存储多条指令，所述处理器用于加载所述存储器中存储的指令以执行：

基于网络空间威胁框架，对目标威胁活动进行阶段归类；结合威胁活动关系，推理出所述目标威胁活动所处阶段之前和/或之后各阶段的相关威胁活动；建立所述目标威胁活动与所述相关威胁活动的顺序关联关系；根据所述顺序关联关系，得到多个完整威胁活动的拓扑图；根据每一拓扑图评估每个完整威胁活动的影响范围，与实际网络资产影响范围对比，确定所述目标威胁活动的完整威胁活动拓扑图。